
Image by vecstock, from Unsplash
Europejskie Ministerstwo Spraw Zagranicznych Zaatakowane przez DoNot APT w Ataku Cyberwywiadowczym
Grupa hakerów DoNot APT przeprowadziła tajną cyberatakę na europejskie ministerstwo spraw zagranicznych, używając fałszywych e-maili i złośliwego oprogramowania, co pokazało postęp w światowych taktykach szpiegowskich.
W pośpiechu? Oto najważniejsze fakty:
- Atak rozpoczął się od phishingowego emaila, imitującego urzędników obrony.
- Złośliwe oprogramowanie, przebrane za PDF, zostało dostarczone za pośrednictwem Google Drive.
- Malware kradnie dane i utrzymuje dostęp, wykorzystując zaplanowane zadania.
Grupa cyber-szpiegowska DoNot APT, znana również jako APT-C-35 czy Mint Tempest, przeprowadziła tajną cyberatak na europejskie ministerstwo spraw zagranicznych, jak pokazuje badanie Trellix. Od 2016 roku, grupa szpiegowska działająca z Indii skupiała się na celach rządowych i instytucjach dyplomatycznych w Azji Południowej, ale teraz wydaje się, że rozszerza swoją działalność na Europę.
Email o temacie „Wizyta włoskiego attaché obrony w Dhace, Bangladesz” zawierał złośliwe łącze do Google Drive. Kliknięcie tego linku spowodowało pobranie chronionego hasłem dokumentu, który jednak zawierał złośliwe oprogramowanie.
Po otwarciu, złośliwe oprogramowanie, pod postacią PDF-a, cicho zainstalowało na komputerze ofiary backdoor. Po uzyskaniu dostępu, atakujący zaczęli kraść cenne dane, uruchamiając zadania, które odświeżały złośliwe oprogramowanie co 10 minut. Od 2018 roku, DoNot APT wykorzystuje LoptikMod jako swoje wyłączne narzędzie do ataków złośliwym oprogramowaniem.
Badacze zauważyli, że napastnicy wykorzystali technikę, która osadzała złośliwy kod w ciągach binarnych, co utrudniało wykrycie złośliwego oprogramowania. Malware kradnie osobiste informacje systemowe za pośrednictwem swojego protokołu szyfrowania, aby przesłać je na serwer sterowania i kontroli, który badacze uznali za nieaktywny w momencie analizy, najprawdopodobniej w celu uniknięcia wykrycia.
Eksperci zalecają, że rządy i organizacje muszą zwiększyć ochronę poczty elektronicznej, monitorować aktywność sieciową oraz wdrażać blokowanie złośliwego oprogramowania oparte na podpisach i szkolenia pracowników z identyfikacji phishingu.